from:http://www.leavesongs.com/HTML/wordpress-4-1-stored-xss.html
Wordpress这个XSS实际上是很好用的，匿名用户即可发表并触发，这里给出简单的分析与稳定的好触发的POC。
其实漏洞的作者已经在文章（https://cedricvb.be/post/wordpress-stored-xss-vulnerability-4-1-2/）里说明了，但文章给的Payload不知道为何在我的测试wp中不能触发。
这个漏洞的原理很有意思，由MYSQL的一个特性导致，当我们将一个4字节的UTF8字符插入mysql时，mysql将会视之为utf8mb4编码，当将utf8mb4编码的字符插入到UTF8编码的列中，在非strict mode下就会造成一个截断。
截断的话，就能绕过很多富文本过滤器了。比如，插入两个评论“<img src=1”，和“onerror=alert(1)// ”，这二者都不会触发某些富文本过滤器（因为前者并不含有白名单外的属性，后者并不是一个标签），但两个评论如果存在于同一个页面，就会拼接成一个完整的HTML标签，触发onerror事件。
虽然wordpress并不是适用上述的方法，但研究者很快找到了新方法。在截断后，wordpress会将单引号转换成“，于是如果我们提交的评论是这样的话：
真是日了狗了~
大家直接去http://www.leavesongs.com/HTML/wordpress-4-1-stored-xss.html看吧~由于是utf-8的mysql...晚些来处理
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论